Aus den arXiv-Neueinreichungen der vergangenen 24 bis 48 Stunden in cs.AI, cs.LG und cs.CL wählt dieser Digest fünf Arbeiten, die zusammen zeigen, wie leicht sich Sicherheitstraining umgehen, Gefahren-Bewertungen verzerren und Effizienzversprechen relativieren lassen – von einem harmlos wirkenden ASCII-Bild über einen neuen Rahmen für Gefahren-Checks bis zu einem Coding-Agenten mit eingebauten Fehlern, einem ernüchternden Kompressions-Ergebnis und einer Gedächtnisfalle bei KI-Agenten. Kuratiert wurde nach Substanz und thematischer Streuung: Jedes Paper liefert eine nachvollziehbare Methode mit belastbaren Zahlen im Abstract, und keine zwei Arbeiten behandeln dasselbe Teilgebiet.
Als Kunstkritik getarnte ASCII-Art umgeht Sicherheitstraining
Da Cheng Gu, Yifei Dong, Xinghao Yang, Yongshun Gong und Wei Liu stellen mit dem ASCII-Attack-Verfahren eine Jailbreak-Technik vor, bei der eine schädliche Anfrage vollständig lesbar bleibt, aber als ASCII-Art – aus Textzeichen zusammengesetzte Bildkunst – dargestellt und als künstlerische Auseinandersetzung mit dem Thema eingerahmt wird. Anders als frühere Verschleierungsangriffe braucht der Angriff laut den Autoren keinen Modellzugriff und funktioniert bereits mit einer einzigen Anfrage. Getestet an elf Modellen und acht Schadenskategorien stuften Bewertungsmodelle 62 Prozent der so umformulierten Anfragen als schädlich beantwortet ein, gegenüber 42 Prozent bei direkten Kontrollanfragen ohne Verkleidung; beim anfälligsten getesteten Modell lag die Erfolgsquote bei 93 Prozent. Zugleich widersprachen sich die eingesetzten Bewertungsmodelle in rund zwei Dritteln der Einzelfälle untereinander, was zusätzlich auf eine unsichere Messgrundlage solcher Sicherheitsprüfungen hindeutet. Ein früherer Digest-Beitrag hatte bereits gezeigt, dass sich mit gezieltem Fuzzing über interne Sicherheits-Neuronen bei fünf Modellen 76 bis 100 Prozent aller versuchten Jailbreaks auslösen lassen – die neue Studie zeigt, dass selbst eine simple visuelle Umverpackung ohne jeden Modellzugriff ähnlich wirksam sein kann. Das zählt, weil Sicherheitstraining damit offenbar stärker auf die Textform einer Anfrage reagiert als auf ihren tatsächlichen Inhalt.
Ein neuer Rahmen prüft gefährliche KI-Fähigkeiten getrennt von tatsächlichem Schaden
Zhengyi Jin, Ru Zhang, Xiao Chen, Xinbo Liu, Jiaxuan Lin, Jia Huang, Jianyi Liu und Zhen Yang präsentieren mit FUSE einen modularen Rahmen, der jedes Modell über drei voneinander unabhängige Prüfpfade bewertet – Wissen, Abwehrbereitschaft (Verweigerung riskanter Anfragen) und tatsächliche Schadwirkung bei erfolgreichem Umgehen dieser Abwehr – und die Ergebnisse zu einem einheitlichen Gefahrenprofil zusammenführt. An zwölf kommerziellen Sprachmodellen aus vier Modellfamilien, getestet mit einem Chemie-Biologie-Baustein, finden die Autoren stark auseinanderlaufende Profile: Modelle mit ähnlichem Gefahrenwissen unterscheiden sich deutlich in ihrer Abwehrbereitschaft, und Modelle mit robuster Abwehr erzeugen den Autorinnen und Autoren zufolge keineswegs automatisch weniger schädliche Inhalte, sobald sie einer Anfrage doch nachgeben. Neuere Modelle vertiefen zudem ihr Gefahrenwissen, verbessern ihre Abwehr aber nur teilweise – ein rückläufiger Trend bei der tatsächlichen Schadwirkung lässt sich über die Zeit nicht durchgängig feststellen. Die drei Prüfpfade korrelieren nach Angaben der Autoren nur schwach untereinander (ρ zwischen 0,32 und 0,97), was ihre inhaltliche Eigenständigkeit stützt. Ein früherer Digest-Beitrag hatte bereits dokumentiert, dass sich GPT-5.5 mit gezielten Jailbreak-Prompts zur Erzeugung von Virus-Kandidatensequenzen mit potenziell erhöhter Infektiosität bewegen ließ – FUSE liefert dafür nun einen wiederverwendbaren Mess-Rahmen, der Wissen, Abwehr und Schaden systematisch auseinanderhält, statt sie in einer einzigen Kennzahl zu vermischen. Das zählt, weil einzelne Gefahren-Benchmarks bislang oft nur einen dieser drei Aspekte abbilden und damit ein unvollständiges Bild liefern.
Ein Coding-Agent baut fünf dokumentierte Fehlerarten in ein Datensystem ein
Phanindra Reddy Madduru untersucht in einer Fallstudie zu KI-Coding-Agenten bei Systems-Engineering-Aufgaben, welche Fehler ein Agent macht, wenn er ein mehrteiliges Datensystem gegen eine vorgegebene Spezifikation umsetzt. Dokumentiert und nach Art der verletzten Vorgabe sowie nach Entdeckungsmethode kategorisiert wurden fünf konkrete Fehlerarten. Ergänzend testet die Arbeit an einem gepoolten Korpus aus 2.994 Textabschnitten und 100 Fragen aus dem HotpotQA-Benchmark gefilterte gegen ungefilterte Suchstrategien: Die gefilterte Suche erreicht bei einem Abfragebudget von drei Treffern bereits ihre maximal mögliche Trefferquote, während die ungefilterte Suche selbst bei einem Budget von zehn Treffern nur 69 Prozent Erfolgsquote erzielt – ein Unterschied, der einem Vorzeichentest zufolge mit einer Irrtumswahrscheinlichkeit unter 0,01 Prozent über alle getesteten Budgets hinweg bestehen bleibt. Ein früherer Digest-Beitrag hatte bereits mit 761 Millionen analysierten LLM-Aufrufen die erste Produktionscharakterisierung von Coding-Agenten wie GitHub Copilot geliefert – die neue Fallstudie ergänzt dieses Bild um konkrete, benannte Fehlerarten aus einer einzelnen, aber detailliert dokumentierten Umsetzung. Das zählt, weil Unternehmen Coding-Agenten zunehmend für vollständige Systemumsetzungen statt nur für einzelne Funktionen einsetzen, ohne dass belastbare Fehlertaxonomien für diese Aufgabenklasse bislang verbreitet wären.
Ternarisierung drückt ein offenes Modell auf 1,64 Bit – und macht es langsamer statt schneller
Anirudh Malik, M Sparsh Mehra und Poojith Devan zeigen mit einer Nachtrainings-Ternarisierung von Qwen3-4B, wie weit sich ein offenes, 4 Milliarden Parameter großes Sprachmodell komprimieren lässt, wenn nur die Gewichte auf extrem wenige mögliche Werte reduziert werden, während die Aktivierungen bei 16 Bit Genauigkeit bleiben. Bei 81,62 Prozent ternarisierten Parametern erreichen die Autoren einen effektiven Bit-Bedarf von 1,641 Bit pro quantisiertem Gewicht und verkleinern den Speicherbedarf von 8,29 auf 3,96 Gigabyte; die mittlere Genauigkeit über zehn Benchmarks fällt dabei von 64,5 auf 54,7 Prozent, und die Perplexität – ein Maß dafür, wie gut ein Modell den nächsten Text-Baustein vorhersagt, niedrigere Werte sind besser – steigt auf WikiText-2 von 13,6 auf 18,7. Bemerkenswert ist, dass die Inferenz auf der getesteten Konfiguration den Autorinnen und Autoren zufolge nicht schneller, sondern 4,6-mal langsamer ausfällt als mit dem unkomprimierten FP16-Modell, weil die extreme Kompression zusätzlichen Rechenaufwand bei der Dekodierung erzeugt. Das Start-up PrismML hatte im Juli beansprucht, ein 27-Milliarden-Modell durch eine Kompression auf bis zu 1,58 Bit pro Gewicht auf 3,9 Gigabyte zu verkleinern und dabei bis zu 95 Prozent der ursprünglichen Leistung zu erhalten – die neue Studie liefert für ein vergleichbares Bit-Budget deutlich nüchternere Zahlen zu Genauigkeitsverlust und Laufzeit. Das zählt, weil Speicherersparnis und Inferenz-Geschwindigkeit bei ultra-niedrigen Bit-Budgets offenbar keineswegs zwangsläufig zusammen auftreten.
Kleine KI-Agenten vertrauen veralteten Erinnerungen fast immer
Jundong Hu und Shekar Ramachandran untersuchen mit einer Studie zur „Memory Trust Gap”, wie sich dauerhaftes Gedächtnis bei KI-Agenten auswirkt, wenn gespeicherte Informationen veralten und einer aktuellen, verlässlichen Quelle widersprechen. In einem 2×2×2×2-faktoriellen Testaufbau mit Qwen3-Modellen von 0,6 bis 8 Milliarden Parametern beantworten die kleineren Modelle Fragen in 92 bis 100 Prozent der Fälle mit dem veralteten statt dem aktuell verfügbaren, korrekten Wert; größere Modelle zeigen ein komplexeres, weniger einseitiges Verhalten. Nach Angaben der Autoren treibt dabei nicht Verwirrung, sondern echtes Übervertrauen in die eigene gespeicherte Erinnerung die Fehler an – ein Unterschied, der auch die Gegenmaßnahme bestimmt: Größere Modelle profitieren davon, Herkunfts- und Aktualitätsangaben zur Erinnerung offenzulegen, während kleinere Modelle einen expliziten Konfliktlösungs-Mechanismus benötigen. Die Autorinnen und Autoren bestätigen den Effekt eigenen Angaben zufolge über unabhängige Modellfamilien und externe Datensätze hinweg; die Arbeit ist derzeit bei einem NeurIPS-2026-Workshop zur Begutachtung eingereicht. Ein früherer Digest-Beitrag hatte bereits gezeigt, dass tool-nutzende Sprachmodelle eine korrekt im Gedächtnis gespeicherte Antwort nur in 6,5 bis 17,1 Prozent der Fälle gegen ein falsches Werkzeug-Ergebnis verteidigen – dort kippen Modelle zu leicht von einer richtigen Erinnerung weg, hier halten sie zu starr an einer falschen fest. Das zählt, weil beide Befunde zusammen zeigen, wie schwer es heutigen Agenten fällt, zuverlässig zwischen mehreren widersprüchlichen Informationsquellen abzuwägen.
Von den fünf vorgestellten Arbeiten ist keine bislang durch ein reguläres Peer-Review-Verfahren gegangen; alle sind unbegutachtete arXiv-Preprints, deren Zahlen aus den Experimenten der jeweiligen Autorenteams stammen und noch nicht extern repliziert wurden. Ob sich die berichteten Effekte an weiteren Modellen, Angriffsszenarien und in unabhängigen Nachbauten bestätigen, muss sich erst noch zeigen.
